Przetwarzanie danych osobowych w ramach ZFŚS
Urząd Ochrony Danych Osobowych opublikował pierwszy z planowanego cyklu poradnik dla pracodawców, w którym wypowiedział się na temat przetwarzania danych osobowych w ramach Zakładowego Funduszy Świadczeń Socjalnych.
UODO podkreślił, że w sprawach związanych z ZFŚS:
- administratorem danych osobowych jest zawsze pracodawca (nie jest nim w szczególności komisja socjalna) i to on odpowiada za przetwarzanie danych osobowych osób uprawnionych do świadczeń z ZFŚS zgodnie z Rozporządzeniem RODO, w tym w zakresie ich minimalizacji i adekwatności danych pozyskiwanych od wnioskodawcy do celu, jakiemu mają służyć;
- do przetwarzania danych osobowych wnioskodawcy nie jest potrzebna jego zgoda – przetwarzanie danych opiera się na przepisach prawa – podstawą dla danych zwykłych jest art. 6 ust. 1 lit. c RODO, a dla danych wrażliwych (np. zdrowie) art. 9 ust. 2 lit. b RODO;
- pracodawca ma obowiązek pozyskiwać informacje o sytuacji życiowej, rodzinnej i materialnej bezpośrednio od wnioskodawcy, a nie z innych źródeł. Powyższe oznacza, że pracodawca:
- powinien bazować na oświadczeniu osoby uprawnionej;
- może żądać wyłącznie do wglądu (bez ich kopiowania i przechowywania) dokumentów potwierdzających dane z oświadczenia (np. zaświadczeń ze szkoły lub wglądu w PIT współmałżonka) tylko wtedy, gdy przewiduje to regulamin ZFŚS;
- pracodawca jest zobowiązany przekazać wnioskodawcy klauzulę informacyjną na podstawie art. 13 RODO natomiast w przypadku członków rodziny wnioskodawcy pracodawca może skorzystać z wyłączenia, o którym mowa art. 14 ust. 5 lit. c RODO w zw. z art. 8 ust. 1 ustawy o ZFŚŚ;
- dane zgromadzone w ramach ZFŚS nie mogą być przetwarzane bezterminowo – pracodawca powinien raz do roku dokonać przeglądu całej dokumentacji oraz usunąć dane, których dalsze przechowywanie jest zbędne.
Co wytyczne UODO oznaczają dla pracodawców?
Publikacja UODO to sygnał dla pracodawców, że warto przeanalizować stosowane przez nich dokumenty i procedury dotyczące ZFŚS pod kątem ich zgodności z RODO, w tym w szczególności pod kątem zakresu formularzy wniosków (czy nie wymagają one podania danych poza niezbędne minimum), posiadania przez członków komisji socjalnej stosownych upoważnień do przetwarzania danych osobowych wnioskodawców, w tym danych wrażliwych o zdrowiu, czy treści przekazywanych klauzul informacyjnych.
